Çoğu satıcı hesap güvenliğini şifreye indirger: uzun şifre koyarsın, müşteriye de "güçlü şifre kullanın" diye yazarsın, iş bitmiştir sanılır. Oysa bakiyeli bir e-pin sitesinde hesabı ele geçiren tarafın şifreyi kırmaya çoğu zaman hiç ihtiyacı olmaz. Hedef şifre değil, şifrenin arkasında üretilen şey: oturum.
Oturum çerezi, tarayıcıda duran bir anahtardır. O anahtar bir kere dışarı sızdığında şifreni kaç haneli yaptığın hiçbir şeyi değiştirmez; karşı taraf senin adına panele girer, bakiyeyi başka hesaba aktarır, kodları alır. Bu yüzden ciddi bir e-pin scripti değerlendirirken sorulacak soru "şifreler hash'li mi" değil, "oturum nasıl üretiliyor, nasıl bağlanıyor, nasıl sonlandırılıyor" olmalı. Aşağıda iki faktörlü doğrulamayı ve oturum katmanını, müşteriyi kaçırmayacak biçimde nasıl kurgulayacağını anlatıyoruz.
Şifre yeterli sanılıyor ama gerçek hedef oturum çerezin
Saldırganın üç kısa yolu var. Birincisi kimlik bilgisi denemesi: başka sitelerden sızmış e-posta/şifre listelerini senin giriş formunda sırayla dener. Hiçbir zafiyet gerekmez, sadece müşterinin aynı şifreyi her yerde kullanması yeter. İkincisi oltalama: müşteriye senin sitene çok benzeyen bir sayfa gösterip şifreyi ve hatta 2FA kodunu anında geçirir.
Üçüncüsü ve en sinsisi oturum çalmadır. Zararlı bir tarayıcı eklentisi, paylaşılan bilgisayar, ya da sitede bir enjeksiyon açığı üzerinden çerez dışarı çıkar. Bu senaryoda 2FA bile devre dışı kalır; çünkü doğrulama girişte yapılır, oturum ise girişten sonra yaşar.
Sonuç: güvenlik iki ayaklı olmak zorunda. Girişi 2FA ile sertleştirirsin, oturumu da bağlama ve kısaltma ile. Yalnızca birini yapan siteler, yaptıkları işin yarısını yapmış olur.
TOTP mi, SMS mi, e-posta kodu mu? Hangisini kime açacaksın?
Uygulama tabanlı TOTP en güçlü ve en ucuz olanıdır: telefonda üretilen altı hane, otuz saniyede değişir, operatöre bağımlı değildir, maliyeti sıfırdır. SMS pratik ama SIM değiştirme saldırısına açıktır ve her mesaj para yakar. E-posta kodu ise en zayıfı; çünkü müşterinin e-posta hesabı zaten ele geçmişse hiçbir koruma sağlamaz.
Doğru kurgu katmanlıdır. Yönetici ve destek personeli için TOTP zorunlu olur, tartışmaya kapalıdır. Bakiyesi olan ya da bayi statüsündeki müşteri için TOTP güçlü biçimde teşvik edilir, para çekme veya bakiye transferi gibi işlemlerde zorunlu tutulur. Sıradan tek seferlik alıcı için isteğe bağlı kalır; yoksa dönüşümü kendi elinle keserdin.
Kurulum detayları burada işi belirler: yedek kodlar bir kez gösterilir ve hash'li saklanır, TOTP sırrı veritabanında şifreli durur, kod tekrar kullanımı engellenir, saat kayması için en fazla bir pencere tolerans tanınır ve yanlış kod denemelerine ayrı bir hız sınırı uygulanır. Bu ayrıntıları atlayan bir epin yazılım kurulumu, 2FA'yı yalnızca görsel olarak eklemiş olur.
| Doğrulama yöntemi | Güvenlik seviyesi | Maliyet | Kullanıcı sürtünmesi | Kime uygun |
|---|---|---|---|---|
| TOTP (uygulama kodu) | Yüksek | Sıfır | Orta | Yönetici, bayi, bakiyeli müşteri |
| SMS kodu | Orta | Mesaj başı ücret | Düşük | Telefonu doğrulanmış perakende müşteri |
| E-posta kodu | Düşük | Çok düşük | Düşük | Yalnızca ek sinyal olarak |
| Donanım anahtarı (WebAuthn) | Çok yüksek | Donanım bedeli | Düşük | Ana yönetici hesabı |
| Yedek kod | Orta | Sıfır | Düşük | Erişim kaybı kurtarması |
| Cihaz hatırlama (30 gün) | Destekleyici | Sıfır | Çok düşük | Sürtünmeyi azaltmak için |
Yönetici paneli neden tamamen ayrı bir kapı olmalı?
Yönetim arayüzünün adresi tahmin edilebilir olduğu sürece sürekli deneme yiyecektir. Yolu değiştirmek tek başına güvenlik değildir ama gürültüyü ciddi biçimde azaltır ve loglarında gerçek sinyali görebilmeni sağlar. Üstüne IP kısıtı, zorunlu TOTP ve ayrı oturum çerezi eklediğinde panel artık aynı kapıdan girilen bir oda olmaz.
İkinci mesele yetki ayrımıdır. Destek personelinin sipariş görebilmesi ile stok kodunu görebilmesi aynı şey değil. Rol bazlı yetki yoksa bir personelin tarayıcısının ele geçmesi bütün stokunun ele geçmesi anlamına gelir. Yetkileri daralt, hassas alanlarda görüntülemeyi ayrı bir onaya bağla.
Üçüncüsü denetim kaydı: kim, ne zaman, hangi IP ile, hangi kaydı değiştirdi. Bu kayıt olmadan bir olay sonrası hasarın sınırını bile çizemezsin. Değişiklikleri geri alabilmek için de eski değerin saklanması gerekir.
Hesap ele geçirme girişimlerinin giriş kapısı dağılımı
- Yeniden kullanılmış şifre denemesi 47%
- Oltalama sayfası 26%
- Çalınan oturum çerezi 16%
- Kurtarma akışı suistimali 11%
Oturum süresi, cihaz bağlama ve eşzamanlı giriş: doğru ayar nedir?
Oturumu sonsuz tutmak konfor değil, sorumluluktur. Bakiyeli hesapta makul kurgu şudur: oturum kimliği girişte yeniden üretilir, çerez HttpOnly ve Secure olur, SameSite kısıtlanır, hareketsizlik süresi sınırlıdır ve toplam ömür hatırlanan cihazda en fazla otuz gündür. Hassas bir işlem yapılacaksa şifre ya da TOTP tekrar sorulur.
Cihaz bağlama, çalınan çerezi büyük ölçüde işe yaramaz hale getirir. Oturumu tarayıcı imzasına ve IP ağına gevşek biçimde bağlarsın; ağ değişimi tamamen çıkış anlamına gelmez ama ülke veya ASN sıçraması yeniden doğrulama tetikler. Mobil müşteriyi kaybetmemek için bu kuralın sert değil kademeli olması gerekir.
Eşzamanlı oturum konusunda kararını iş modeline göre ver. Bayi hesabında birkaç cihaz normaldir; ama müşteriye kendi açık oturumlarını görebileceği ve tek tuşla hepsini kapatabileceği bir ekran vermelisin. "Tüm cihazlardan çık" düğmesi, bir olay anında müşterinin elindeki en hızlı silahtır.
Şifre veya 2FA ayarı değiştiğinde mevcut oturumun dışındaki tüm oturumlar anında geçersiz olmalı. Bu tek kural, ele geçmiş bir hesabı geri kazanmanın en etkili adımıdır; yoksa müşteri şifresini değiştirse bile saldırganın açık oturumu çalışmaya devam eder.
Bakiyeli müşteri hesabı çalınırsa pratikte ne olur?
Senaryo hep aynı ilerler: giriş yapılır, bakiye en likit ürüne harcanır, kodlar alınır ve satılır. Yirmi dakika sonra gerçek müşteri panele girip "bakiyem yok" diye yazar. Sorumluluk tartışması burada başlar ve elinde kayıt yoksa bu tartışmayı kazanamazsın.
Bu yüzden bakiye harcamasını basit bir işlem değil, hassas bir işlem sayman gerekir. Eşik üstü harcamada TOTP sorulması, yeni cihazdan yapılan ilk harcamada e-posta bildirimi, bakiye transferinde kısa bir bekleme penceresi; bu üçü kaybın çoğunu keser.
Bir de iletişim tarafı var: her başarılı girişte ve her bakiye hareketinde bildirim gitmeli. Müşteri kendi hesabındaki anormalliği senden önce görür. Ona bunu görebileceği bir ekran ve bildirim vermek, destek yükünü de düşürür.
Kurtarma akışı: sistemin en zayıf halkası burada saklı
2FA'yı kusursuz kurup şifre sıfırlama akışını gevşek bıraktıysan güvenliği hiç kurmamış olursun. Saldırgan kapıyı zorlamaz, arka kapıdan "telefonumu kaybettim" diyerek girer. Kurtarmada iki kural vazgeçilmezdir: sıfırlama bağlantısı tek kullanımlık ve kısa ömürlü olur, sıfırlama 2FA'yı otomatik olarak devre dışı bırakmaz.
2FA kaybı için yol yedek kodlardır. Yedek kodu da yoksa süreç insana devredilir; kimlik doğrulama, bekleme süresi ve tüm oturumların düşürülmesi ile birlikte. Bu süreci hızlandırma isteğine direneceksin, çünkü kurtarma akışının hızı doğrudan saldırı yüzeyinin genişliğidir.
| Kontrol maddesi | Kapsam | Hedef ayar | Doğrulama sıklığı |
|---|---|---|---|
| Yönetici hesaplarında TOTP zorunlu | Panel | İstisnasız tüm yönetici rolleri | Kurulumda |
| Yönetim yolu gizli + IP kısıtı | Panel | Tahmin edilemeyen yol | Kurulumda |
| Girişte oturum kimliği yenileniyor | Oturum | Her başarılı girişte | Sürüm sonrası test |
| Çerez HttpOnly + Secure + SameSite | Oturum | Üçü birlikte aktif | Aylık |
| Şifre/2FA değişiminde oturum düşürme | Hesap | Diğer tüm oturumlar geçersiz | Kurulumda |
| Açık oturumlar ekranı ve toplu çıkış | Müşteri paneli | Müşteriye görünür | Kurulumda |
| Giriş ve 2FA denemelerine hız sınırı | Giriş | Ayrı eşikler tanımlı | Haftalık |
| Sıfırlama bağlantısı tek kullanımlık | Kurtarma | Kısa ömür, tek kullanım | Aylık test |
| Bakiye hareketinde bildirim | Hesap | Her harekette e-posta | Haftalık |
| Yönetici işlemleri denetim kaydı | Denetim | Eski değer dahil saklama | Aylık denetim |
Girişi ve oturumu aynı gün sertleştir
TOTP, gizli yönetim yolu, rol bazlı yetki, oturum yönetimi ve denetim kaydı Pinova'da kurulumla birlikte gelir; sonradan eklenen yamalar değil. Özellik listesini gör, lisansı seç.
2FA'yı tüm müşterilere zorunlu yapsam mı?
Perakende alıcıya zorunlu tutmak dönüşümü düşürür. Doğru yaklaşım katmanlı olandır: yönetici ve bayide zorunlu, bakiye harcama ve transfer gibi hassas işlemlerde işlem bazlı zorunlu, sıradan alışverişte isteğe bağlı.
SMS doğrulama gerçekten güvensiz mi?
Hiç doğrulamasız olmaktan çok daha iyidir ama SIM değiştirme ve yönlendirme saldırılarına açıktır ve her mesaj maliyet üretir. Kritik hesaplarda TOTP veya donanım anahtarı tercih edilmeli, SMS ikincil seçenek olarak kalmalı.
Oturumu kısaltınca müşteri sürekli çıkış yapmaz mı?
Cihaz hatırlama ile bu sorun çözülür: hatırlanan cihazda oturum uzun yaşar, hassas işlemde yeniden doğrulama istenir. Sürtünmeyi yaratan şey kısa oturum değil, yeniden doğrulamanın yanlış yerde sorulmasıdır.
Bir hesabın ele geçtiğini fark ettim, ilk üç adım ne?
Hesabın tüm oturumlarını düşür, 2FA'yı sıfırlayıp yeniden kurdur, ardından son 48 saatteki siparişleri ve bakiye hareketlerini denetim kaydından çıkarıp etkilenen kodları iptal veya değiştir. Sonra müşteriye ne olduğunu yazılı bildir.
Oturum ve doğrulama katmanı, e-pin işinde tek bir gecede bütün itibarını belirleyebilecek kadar kritik ama kurulumu şaşırtıcı derecede standart bir iştir; yeter ki sonradan yamayla değil baştan tasarımla yapılsın. TOTP akışını, açık oturum ekranını, rol bazlı yetkileri ve denetim kaydını gerçek bir hesap üzerinde denemek istersen canlı demo ortamında kendine bir yönetici hesabı açıp bütün bu adımları sırayla test edebilirsin.